Smishing ist eine Form des Phishings, bei der betrügerische Nachrichten über SMS oder vergleichbare Kurznachrichtendienste versendet werden. Ziel ist meist, den Empfänger zum Öffnen eines Links, zur Eingabe von Zugangsdaten, zur Preisgabe von Zahlungsinformationen oder zu einer anderen sicherheitsrelevanten Handlung zu bewegen.

Typische Smishing-Nachrichten geben sich beispielsweise als Mitteilungen einer Bank, eines Paketdienstes, einer Behörde, eines Mobilfunkanbieters oder eines bekannten Online-Dienstes aus. Häufig wird Zeitdruck erzeugt: Ein Konto soll gesperrt werden, ein Paket könne nicht zugestellt werden oder eine Zahlung müsse sofort bestätigt werden.

Wichtig ist die technische Abgrenzung: Der Erhalt einer Smishing-SMS bedeutet noch nicht, dass ein Smartphone gehackt wurde. Auch das bloße Öffnen einer Nachricht führt nicht automatisch zu einer Gerätekompromittierung. Entscheidend ist, welche weiteren Handlungen erfolgt sind und welche digitalen Spuren sich danach feststellen lassen.

Wie funktioniert Smishing?

Smishing verbindet klassische Methoden des Social Engineering mit mobiler Kommunikation.

Der Angreifer versucht zunächst, Vertrauen oder Handlungsdruck aufzubauen. Dazu wird häufig eine bekannte Organisation imitiert. Die Nachricht enthält anschließend meist einen Link, eine Telefonnummer oder eine konkrete Handlungsaufforderung.

Der technische Angriff kann danach unterschiedliche Richtungen nehmen. Das Opfer kann auf eine gefälschte Anmeldeseite geleitet werden, Zahlungsdaten eingeben, eine vermeintliche Sicherheits-App installieren oder telefonisch Kontakt mit den Tätern aufnehmen.

Was bedeutet der Begriff Smishing?

Der Begriff Smishing setzt sich aus „SMS“ und „Phishing“ zusammen.

Er beschreibt Phishing-Angriffe, bei denen insbesondere SMS oder vergleichbare mobile Nachrichten als Kommunikationskanal verwendet werden.

Die eigentliche Angriffsmethode bleibt Social Engineering: Das Opfer soll selbst eine Handlung durchführen, die dem Angreifer Zugang zu Informationen, Konten oder Geld ermöglicht.

Was ist der Unterschied zwischen Smishing und Phishing?

Phishing ist der übergeordnete Begriff für betrügerische Versuche, sensible Informationen oder sicherheitsrelevante Handlungen durch Täuschung zu erlangen.

Smishing bezeichnet speziell Phishing über SMS beziehungsweise mobile Kurznachrichten.

E-Mail-Phishing, Smishing und andere Phishing-Varianten verfolgen daher häufig ähnliche Ziele, unterscheiden sich aber im verwendeten Kommunikationskanal.

Was ist der Unterschied zwischen Smishing und Vishing?

Beim Smishing erfolgt die Kontaktaufnahme über eine Nachricht. Beim Vishing steht dagegen der telefonische Kontakt beziehungsweise die sprachbasierte Täuschung im Vordergrund.

Beide Methoden können miteinander kombiniert werden. Eine SMS kann beispielsweise dazu auffordern, eine angebliche Bank-Hotline anzurufen. Das anschließende Telefonat wird dann für Social Engineering genutzt.

Ist Smishing dasselbe wie SMS-Betrug?

Smishing ist eine bestimmte Form des SMS-Betrugs.

Nicht jede betrügerische SMS ist zwangsläufig klassisches Phishing. Smishing zeichnet sich insbesondere dadurch aus, dass der Empfänger zur Preisgabe von Informationen oder zu einer sicherheitsrelevanten Aktion bewegt werden soll.

Wie sieht eine typische Smishing-SMS aus?

Eine typische Nachricht enthält einen plausibel wirkenden Anlass und fordert zu schnellem Handeln auf.

Beispiele sind angebliche Paketprobleme, ungewöhnliche Bankaktivitäten, offene Gebühren, gesperrte Benutzerkonten, notwendige Identitätsprüfungen oder Sicherheitswarnungen.

Der Inhalt kann sprachlich sehr professionell wirken. Rechtschreibfehler sind deshalb kein zuverlässiges Erkennungsmerkmal mehr.

Warum funktionieren Smishing-Angriffe?

Smartphones werden sehr persönlich und unmittelbar genutzt. Eine SMS wird häufig schneller wahrgenommen als eine E-Mail.

Gleichzeitig zeigen Smartphones Internetadressen aufgrund der kleinen Displays teilweise nur verkürzt an. Dadurch können manipulierte Domains schwieriger zu erkennen sein.

Hinzu kommt, dass Angreifer gezielt Situationen verwenden, die für viele Menschen alltäglich wirken, beispielsweise Paketzustellungen, Banking oder Kontosicherheit.

Welche Unternehmen werden bei Smishing häufig imitiert?

Grundsätzlich kann nahezu jede bekannte Organisation imitiert werden.

Typische Beispiele sind Banken, Paket- und Logistikunternehmen, Mobilfunkanbieter, Online-Shops, Zahlungsdienste oder Behörden.

Die Verwendung eines bekannten Namens beweist deshalb nicht, dass die Nachricht tatsächlich von dieser Organisation stammt.

Warum erzeugen Smishing-Nachrichten häufig Zeitdruck?

Zeitdruck reduziert die Wahrscheinlichkeit, dass ein Empfänger die Nachricht kritisch überprüft.

Formulierungen wie „Ihr Konto wird heute gesperrt“, „Ihr Paket wird zurückgesendet“ oder „Bestätigen Sie die Zahlung sofort“ sollen spontane Reaktionen auslösen.

Dringlichkeit ist deshalb ein typisches Social-Engineering-Merkmal.

Kann eine Smishing-SMS meine echte Bank als Absender anzeigen?

Absenderinformationen in Nachrichten sollten nicht als alleiniger Echtheitsnachweis verwendet werden.

Je nach Kommunikationssystem und Angriffsmethode können Absenderangaben manipuliert oder so gestaltet werden, dass sie vertrauenswürdig erscheinen.

Eine Nachricht sollte deshalb anhand ihres Inhalts, Links und der offiziellen Kommunikationswege des angeblichen Absenders geprüft werden.

Was passiert, wenn ich nur eine Smishing-SMS erhalten habe?

Der reine Empfang einer Smishing-Nachricht bedeutet normalerweise noch nicht, dass ein Smartphone kompromittiert wurde.

Wenn Sie die Nachricht lediglich erhalten und keine weiteren Aktionen durchgeführt haben, besteht ein anderer technischer Sachverhalt als nach der Eingabe von Zugangsdaten oder der Installation einer Anwendung.

Was passiert, wenn ich die Smishing-SMS geöffnet habe?

Das bloße Öffnen und Lesen einer SMS bedeutet nicht automatisch, dass das Smartphone gehackt wurde.

Entscheidend ist, ob anschließend ein Link geöffnet, eine Datei heruntergeladen, eine App installiert, ein Anruf durchgeführt oder eine andere sicherheitsrelevante Handlung vorgenommen wurde.

Was passiert, wenn ich auf den Link geklickt habe?

Auch ein Klick allein beweist noch keine erfolgreiche Gerätekompromittierung.

Viele Smishing-Links führen auf gefälschte Webseiten, deren Hauptzweck darin besteht, Benutzer zur Eingabe ihrer Zugangsdaten oder Zahlungsinformationen zu bringen.

Bei einem konkreten Vorfall sollte deshalb nachvollzogen werden, welche Webseite geöffnet wurde und welche weiteren Handlungen stattgefunden haben.

Kann ein Smishing-Link mein Smartphone hacken?

Grundsätzlich können manipulierte Webseiten Sicherheitsrisiken darstellen. Ein erfolgreicher technischer Angriff allein durch den Seitenaufruf ist jedoch von klassischem Credential-Phishing zu unterscheiden.

In vielen Smishing-Fällen besteht das Hauptziel darin, dass der Benutzer Daten selbst auf einer gefälschten Seite eingibt.

Ein Klick allein reicht daher nicht aus, um einen erfolgreichen Smartphone-Hack festzustellen.

Was passiert, wenn ich mein Passwort eingegeben habe?

Wenn Zugangsdaten auf einer verdächtigen Seite eingegeben wurden, sollte davon ausgegangen werden, dass diese Informationen kompromittiert sein können.

Das betreffende Passwort sollte über die offizielle Webseite beziehungsweise App des Dienstes und möglichst von einem anderen vertrauenswürdigen Gerät geändert werden.

Wurde dasselbe Passwort bei mehreren Diensten verwendet, müssen auch diese Konten berücksichtigt werden.

Was passiert, wenn ich meine Bankdaten eingegeben habe?

Wenn Online-Banking-Zugangsdaten, TAN-Informationen oder andere sensible Bankinformationen übermittelt wurden, sollte unverzüglich die Bank über einen offiziellen Kommunikationsweg kontaktiert werden.

Bei einem finanziellen Schaden hat die Schadensbegrenzung Vorrang.

Die ursprüngliche Nachricht, der Link und weitere Informationen zum Vorgang sollten möglichst erhalten bleiben.

Was passiert, wenn ich Kreditkartendaten eingegeben habe?

Wurden Kartennummer, Ablaufdatum, Prüfnummer oder andere Kartendaten auf einer verdächtigen Webseite eingegeben, sollte der Kartenausgeber beziehungsweise die Bank unverzüglich informiert werden.

Unbekannte Transaktionen sollten dokumentiert werden.

Was passiert, wenn ich eine TAN bestätigt habe?

Eine TAN oder andere Authentifizierungsbestätigung kann eine konkrete Transaktion oder Anmeldung autorisieren.

Wenn Sie eine Bestätigung durchgeführt haben, die auf eine Smishing-Nachricht zurückgeht, sollten Sie unverzüglich den betroffenen Dienst beziehungsweise die Bank kontaktieren.

Was passiert, wenn ich eine Push-Freigabe bestätigt habe?

Eine Push-Bestätigung kann abhängig vom Dienst eine Anmeldung oder Transaktion freigeben.

Wenn Sie eine solche Anfrage nicht selbst ausgelöst haben oder sie aufgrund einer betrügerischen Nachricht bestätigt wurde, sollte das betreffende Konto unmittelbar abgesichert werden.

Was passiert, wenn ich eine App installiert habe?

Die Installation einer Anwendung verändert die technische Risikolage erheblich.

Bei Android-Geräten kann insbesondere relevant sein, ob eine Anwendung außerhalb eines offiziellen App-Stores installiert wurde und welche Berechtigungen sie erhalten hat.

Bei iPhones können abhängig vom Angriff auch Profile oder andere Konfigurationen relevant sein.

Eine forensische Smartphone-Untersuchung kann je nach Gerät App-, Nutzungs-, Kommunikations- und weitere technische Daten analysieren.

Was passiert, wenn ich eine unbekannte Datei heruntergeladen habe?

Das Herunterladen und das Ausführen einer Datei sind zwei unterschiedliche Vorgänge.

Eine Datei kann auf einem Gerät vorhanden sein, ohne dass ihr Inhalt tatsächlich ausgeführt wurde.

Bei einem späteren Beweisinteresse sollte eine verdächtige Datei nicht unnötig geöffnet oder vorschnell gelöscht werden.

Kann Smishing Schadsoftware installieren?

Smishing kann als Einstieg in einen Malware-Angriff verwendet werden.

Ein Angreifer kann beispielsweise versuchen, das Opfer zum Download und zur Installation einer vermeintlichen Sicherheits- oder Banking-App zu bewegen.

Ob anschließend tatsächlich Schadsoftware installiert wurde, muss technisch überprüft werden.

Welche Rolle spielt Malware-Forensik bei Smishing?

Wenn nach einer Smishing-Nachricht eine verdächtige Datei oder Anwendung installiert beziehungsweise ausgeführt wurde, kann eine Malware-Untersuchung erforderlich sein.

Der Wissensartikel „Was ist Malware-Forensik?“ erklärt, wie Schadsoftware und die von ihr hinterlassenen technischen Spuren untersucht werden.

Smishing und Malware sind jedoch nicht dasselbe. Viele Smishing-Angriffe kommen vollständig ohne Schadsoftware aus und zielen ausschließlich auf Zugangsdaten oder Zahlungen.

Kann Smishing auch einen Computer betreffen?

Ja.

Eine SMS kann beispielsweise auf eine Webseite führen, die später auf einem Computer geöffnet wird. Zugangsdaten können zudem unabhängig vom verwendeten Gerät kompromittiert werden.

Wenn ein Computer Teil des Vorfalls ist, können Browserdaten, Downloads und weitere Systemspuren relevant sein. Grundlagen dazu behandelt der bestehende Artikel „Was ist Computer-Forensik?“.

Welche Rolle spielt iPhone-Forensik nach Smishing?

Wenn der Vorfall auf einem iPhone stattfand, können abhängig von Fragestellung und verfügbarer Datenbasis unter anderem Browser-, App-, Kommunikations- und Systeminformationen relevant sein.

Technische Grundlagen und Grenzen der Untersuchung erläutert der Wissensartikel „Was ist iPhone-Forensik?“.

IT-Forensik nach Smishing für Privatpersonen

Smishing betrifft häufig Privatpersonen, weil Smartphones unmittelbar mit E-Mail, Banking, Messenger, Cloud-Diensten und weiteren persönlichen Konten verbunden sind. LB Forensik unterstützt entsprechende Untersuchungen bundesweit, beispielsweise mit IT-Forensik für Bonn, IT-Forensik für Düsseldorf und IT-Forensik für Leipzig.

Welche digitalen Spuren kann eine Smishing-SMS hinterlassen?

Der technische Datenbestand hängt davon ab, was während des Vorfalls passiert ist.

Relevant können die ursprüngliche SMS, Telefonnummer beziehungsweise Absenderinformationen, Zeitstempel, URLs, Browserdaten, Downloads, App-Installationen, Kontosicherheitsmeldungen und finanzielle Transaktionsinformationen sein.

Bei einer forensischen Untersuchung werden diese Daten nicht isoliert betrachtet, sondern zeitlich und technisch miteinander verglichen.

Warum sollte die ursprüngliche SMS nicht sofort gelöscht werden?

Die Originalnachricht kann Informationen enthalten, die für eine spätere Dokumentation des Vorfalls wichtig sind.

Dazu gehören beispielsweise Absender, Zeitpunkt, Nachrichtentext und der enthaltene Link.

Ein Screenshot kann zusätzlich hilfreich sein, ersetzt aber nicht zwangsläufig die Originalnachricht.

Sollte ich einen Screenshot der Smishing-Nachricht machen?

Ja, wenn dadurch der aktuelle Zustand schnell dokumentiert werden kann.

Der Screenshot sollte möglichst Absender, Nachricht, Datum beziehungsweise Uhrzeit und den sichtbaren Link enthalten.

Die Nachricht selbst sollte bei einem möglichen Beweisinteresse zusätzlich erhalten bleiben.

Sollte ich den Link nochmals öffnen, um ihn zu dokumentieren?

Nein.

Ein verdächtiger Link sollte nicht allein zu Dokumentationszwecken erneut geöffnet werden.

Wenn eine technische Untersuchung erforderlich ist, kann die URL kontrolliert analysiert werden, ohne den möglichen Angriff auf dem betroffenen Smartphone erneut auszulösen.

Kann der Link später verschwinden?

Ja.

Betrügerische Webseiten können nur kurze Zeit aktiv sein, ihre Inhalte verändern oder durch Hosting-Provider entfernt werden.

Eine zeitnahe Sicherung der vorhandenen Spuren kann deshalb sinnvoll sein.

Kann eine URL Hinweise auf den Angriff liefern?

Ja.

Domainname, Pfad, Parameter und andere URL-Bestandteile können technisch relevant sein.

Eine verdächtige Domain identifiziert jedoch nicht automatisch die natürliche Person hinter dem Angriff.

Kann eine IP-Adresse des Smishing-Servers den Täter identifizieren?

Nicht automatisch.

Server können über Hosting-Dienste, Cloud-Infrastrukturen, Proxy-Systeme oder kompromittierte Fremdsysteme betrieben werden.

Eine IP-Adresse beschreibt zunächst technische Infrastruktur und ist nicht mit einer eindeutigen Täteridentität gleichzusetzen.

Kann die Telefonnummer des Absenders den Täter identifizieren?

Nicht zwangsläufig.

Telefonnummern können manipuliert, missbräuchlich verwendet oder über unterschiedliche technische Dienste bereitgestellt werden.

Die sichtbare Nummer allein reicht daher nicht für eine sichere personenbezogene Zuordnung.

Was ist SMS-Spoofing?

SMS-Spoofing beschreibt die Manipulation oder gezielte Gestaltung von Absenderinformationen einer SMS.

Dadurch kann eine Nachricht beispielsweise so erscheinen, als stamme sie von einer bekannten Organisation.

Deshalb sollte der sichtbare Absender nicht als alleiniger Echtheitsnachweis verwendet werden.

Kann eine Smishing-Nachricht im gleichen Nachrichtenverlauf wie echte SMS erscheinen?

Abhängig von der Darstellung des Smartphones und den verwendeten Absenderinformationen können Nachrichten für den Benutzer so wirken, als gehörten sie zu einer bereits bekannten Kommunikation.

Gerade deshalb sollte eine sicherheitsrelevante Aufforderung unabhängig vom angezeigten Nachrichtenverlauf über die offizielle App oder Webseite des Dienstes überprüft werden.

Wie erkenne ich einen verdächtigen Link?

Prüfen Sie insbesondere den tatsächlichen Domainnamen.

Zusätzliche Wörter vor oder hinter einem bekannten Markennamen können dazu dienen, eine betrügerische Adresse vertrauenswürdig erscheinen zu lassen.

Auch verkürzte Links erschweren die unmittelbare Bewertung des Ziels.

Ist HTTPS ein Zeichen dafür, dass die Webseite sicher ist?

Nein.

HTTPS bedeutet, dass die Verbindung zwischen Browser und Server verschlüsselt ist.

Es beweist nicht, dass die Betreiber der Webseite vertrauenswürdig sind oder dass es sich tatsächlich um die Webseite einer Bank oder eines Paketdienstes handelt.

Kann eine Smishing-Webseite genauso aussehen wie die echte Bankseite?

Ja.

Logos, Farben, Texte und andere Gestaltungselemente einer Webseite können relativ einfach nachgebildet werden.

Die optische Ähnlichkeit ist daher kein ausreichender Echtheitsnachweis.

Was ist Credential Phishing?

Credential-Phishing bezeichnet den Versuch, Benutzername, Passwort oder andere Anmeldeinformationen zu erlangen.

Smishing wird sehr häufig als Transportweg für solche Angriffe genutzt.

Das Opfer erhält eine SMS und wird auf eine gefälschte Anmeldeseite weitergeleitet.

Kann Smishing Zwei-Faktor-Authentifizierung umgehen?

Bestimmte Phishing-Methoden versuchen auch zusätzliche Authentifizierungsinformationen abzufragen oder Benutzer zur Bestätigung einer Anmeldung zu bewegen.

Zwei-Faktor-Authentifizierung erhöht die Sicherheit erheblich, verhindert aber nicht jeden denkbaren Social-Engineering-Angriff.

Was ist MFA-Fatigue?

Bei MFA-Fatigue werden wiederholt Authentifizierungsanfragen erzeugt, um den Benutzer zu einer ungewollten Bestätigung zu bewegen.

Eine unerwartete Authentifizierungsanfrage sollte niemals bestätigt werden.

Was sollte ich tun, wenn ich nur auf den Link geklickt habe?

Dokumentieren Sie die Nachricht und den ungefähren Ablauf.

Prüfen Sie, ob weitere Handlungen stattgefunden haben: Wurden Daten eingegeben, Dateien heruntergeladen, Apps installiert oder Berechtigungen erteilt?

Ohne diese Informationen lässt sich das Risiko nicht sinnvoll bewerten.

Was sollte ich tun, wenn ich mein Passwort eingegeben habe?

Ändern Sie das betroffene Passwort unverzüglich über den offiziellen Dienst und möglichst von einem anderen vertrauenswürdigen Gerät.

Prüfen Sie aktive Sitzungen, angemeldete Geräte und sicherheitsrelevante Kontoeinstellungen.

Wenn dasselbe Passwort bei anderen Diensten verwendet wurde, sollten auch diese Konten abgesichert werden.

Welches Konto sollte zuerst abgesichert werden?

Das zentrale E-Mail-Konto besitzt häufig hohe Priorität, weil darüber Passwörter anderer Dienste zurückgesetzt werden können.

Danach sollten je nach Vorfall Apple Account beziehungsweise Google-Konto, Banking, Zahlungsdienste und weitere wichtige Benutzerkonten geprüft werden.

Was sollte ich tun, wenn mein E-Mail-Passwort betroffen ist?

Ändern Sie das Passwort und prüfen Sie nicht nur aktive Sitzungen.

Kontrollieren Sie zusätzlich Wiederherstellungsinformationen, automatische Weiterleitungen, Filterregeln und angemeldete Geräte.

Was sollte ich tun, wenn bereits Geld abgebucht wurde?

Kontaktieren Sie unverzüglich Ihre Bank beziehungsweise den betroffenen Zahlungsdienstleister über einen offiziellen Kommunikationsweg.

Dokumentieren Sie Transaktionen und bewahren Sie die Smishing-Nachricht sowie andere Informationen zum Vorgang auf.

IT-Forensik kann technische Abläufe untersuchen, ersetzt aber nicht die sofortige Schadensbegrenzung durch die Bank.

Kann IT-Forensik mein Geld zurückholen?

Nein.

IT-Forensik kann digitale Spuren sichern, technische Abläufe rekonstruieren und mögliche Geräte- oder Kontokompromittierungen untersuchen.

Ob eine Zahlung gestoppt oder zurückgeholt werden kann, muss mit Bank oder Zahlungsdienstleister geklärt werden.

Kann nachgewiesen werden, dass ich auf den Smishing-Link geklickt habe?

Unter bestimmten Voraussetzungen können Browserdaten, Verlaufseinträge, Cache-Informationen oder andere technische Artefakte Hinweise auf den Besuch einer Webseite liefern.

Welche Daten noch vorhanden sind, hängt vom Gerät, Browser und der zwischenzeitlichen Nutzung ab.

Kann nachgewiesen werden, dass Zugangsdaten eingegeben wurden?

Das ist nicht in jedem Fall möglich.

Der Besuch einer Phishing-Seite kann möglicherweise rekonstruiert werden. Welche konkreten Formularinhalte an die Gegenseite übertragen wurden, ist lokal jedoch nicht zwangsläufig vollständig gespeichert.

Kann nachgewiesen werden, dass eine App installiert wurde?

Je nach Smartphone und Datenlage können App- und Systeminformationen Hinweise auf Installationen liefern.

Auch bereits entfernte Apps können unter bestimmten Voraussetzungen Spuren hinterlassen.

Kann nachgewiesen werden, dass Schadsoftware installiert wurde?

Eine forensische Untersuchung kann nach verdächtigen Apps, Dateien, Berechtigungen, Konfigurationen und weiteren technischen Artefakten suchen.

Ein vollständiger Nachweis hängt jedoch von der tatsächlich vorhandenen und zugänglichen Datenbasis ab.

Sollte ich eine verdächtige App sofort löschen?

Bei einem möglichen späteren Beweisinteresse nicht vorschnell.

Eine Deinstallation kann App-Daten und andere relevante Spuren verändern oder entfernen.

Besteht ein akutes Sicherheitsrisiko, kann die unmittelbare Schadensbegrenzung allerdings Vorrang haben.

Sollte ich mein Smartphone zurücksetzen?

Nicht vor einer geplanten forensischen Untersuchung.

Ein Werksreset kann zahlreiche relevante Daten, Apps und Konfigurationen entfernen und die spätere Rekonstruktion erheblich erschweren.

Sollte ich das Smartphone ausschalten?

Das lässt sich nicht pauschal beantworten.

Ein Ausschalten kann Netzwerkkommunikation unterbrechen, verändert aber bei modernen Smartphones auch den technischen Gerätezustand.

Bei einem ernsthaften Beweisinteresse sollte die Vorgehensweise möglichst anhand des konkreten Geräts entschieden werden.

Sollte ich Flugmodus einschalten?

Der Flugmodus kann bestimmte Netzwerkverbindungen unterbrechen, ist aber keine universelle Lösung für einen Smishing-Vorfall.

Wenn Zugangsdaten bereits übermittelt wurden, bleibt das Benutzerkonto auch bei einem offline geschalteten Smartphone gefährdet.

Kann Smishing zu SIM-Swapping führen?

Smishing kann Bestandteil eines umfassenderen Social-Engineering-Angriffs sein, bei dem Angreifer versuchen, weitere persönliche Informationen zu sammeln.

SIM-Swapping ist jedoch ein eigener Angriffstyp, bei dem die Kontrolle über eine Telefonnummer beziehungsweise SIM- oder eSIM-Zuordnung erlangt werden soll.

Was sind Anzeichen für mögliches SIM-Swapping?

Ein plötzlicher unerklärlicher Verlust der Mobilfunkverbindung zusammen mit ungewöhnlichen Kontoaktivitäten kann Anlass sein, den Mobilfunkanbieter zu kontaktieren.

Der fehlende Empfang allein beweist jedoch kein SIM-Swapping.

Kann Smishing zu Identitätsdiebstahl führen?

Ja, wenn ausreichend personenbezogene Daten erlangt werden.

Welche Risiken entstehen, hängt davon ab, welche Informationen übermittelt wurden.

Name und Telefonnummer allein unterscheiden sich hinsichtlich des Risikos deutlich von Zugangsdaten, Bankinformationen oder Ausweisdokumenten.

Was sollte ich tun, wenn ich meinen Personalausweis hochgeladen habe?

Dokumentieren Sie, welche Unterlagen an welche Webseite übermittelt wurden und wann dies geschah.

Bei möglichem Identitätsmissbrauch können zusätzliche Sicherheits- und rechtliche Maßnahmen erforderlich sein.

Kann Smishing Unternehmen betreffen?

Ja.

Smishing kann gezielt gegen Mitarbeiter eingesetzt werden, um Zugangsdaten, MFA-Bestätigungen oder andere Informationen zu erlangen.

Wenn geschäftliche Benutzerkonten betroffen sind, sollte geprüft werden, ob weitere Systeme oder Cloud-Dienste kompromittiert wurden.

Was ist Spear Smishing?

Der Begriff wird für besonders zielgerichtete Smishing-Angriffe verwendet.

Die Nachricht enthält dabei häufig Informationen, die gezielt auf eine bestimmte Person, Funktion oder Organisation zugeschnitten sind.

Dadurch kann die Nachricht wesentlich glaubwürdiger wirken als ein massenhaft versendeter Standardtext.

Wie unterscheidet sich Smishing bei Privatpersonen und Unternehmen?

Bei Privatpersonen stehen häufig Banking, Paketdienste, Zahlungsanbieter oder persönliche Benutzerkonten im Mittelpunkt.

Bei Unternehmen können Angreifer versuchen, geschäftliche Zugangsdaten, Microsoft-365-Konten, VPN-Zugänge oder andere Unternehmenssysteme zu kompromittieren.

Die grundlegende Täuschungsmethode bleibt ähnlich, die möglichen Auswirkungen unterscheiden sich jedoch erheblich.

Was sollte ein Unternehmen nach einem erfolgreichen Smishing-Angriff prüfen?

Relevant sind insbesondere das betroffene Benutzerkonto, aktive Sitzungen, Authentifizierungsänderungen, Cloud-Aktivitäten, weitere Anmeldungen und gegebenenfalls der verwendete Endpunkt.

Bei einem bestätigten Sicherheitsvorfall kann eine breitere Incident-Response- und IT-forensische Untersuchung erforderlich sein.

Kann eine Smishing-Nachricht selbst als digitales Beweismittel dienen?

Ja.

Eine SMS kann Absenderinformationen, Nachrichtentext, Zeitstempel und Links enthalten, die für die Rekonstruktion eines Vorfalls relevant sind.

Die Aussagekraft sollte jedoch nicht überdehnt werden. Die sichtbare Telefonnummer identifiziert beispielsweise nicht automatisch die tatsächliche Person hinter dem Angriff.

Wie wird eine Smishing-Nachricht forensisch gesichert?

Die geeignete Sicherungsmethode hängt vom Smartphone und der konkreten Fragestellung ab.

Bei einer Smartphone-forensischen Untersuchung kann die Nachricht zusammen mit weiteren Kommunikations-, App- und Systemdaten Bestandteil des gesicherten Datenbestands sein.

Zusätzliche Screenshots können die Dokumentation ergänzen, ersetzen jedoch nicht zwingend die technische Datensicherung.

Warum ist der zeitliche Ablauf wichtig?

Eine Rekonstruktion sollte möglichst beantworten, wann die SMS einging, wann der Link geöffnet wurde, wann Zugangsdaten eingegeben oder Apps installiert wurden und wann erste unbekannte Konto- oder Bankaktivitäten auftraten.

Mehrere zeitlich zusammenpassende Spuren können wesentlich aussagekräftiger sein als ein einzelner isolierter Befund.

Was ist eine Smishing-Timeline?

Eine Timeline verbindet die relevanten Ereignisse des Vorfalls in einer zeitlichen Reihenfolge.

Sie kann beispielsweise den Eingang der SMS, einen Browseraufruf, eine spätere Kontoanmeldung und eine unbekannte Transaktion gegenüberstellen.

Eine zeitliche Nähe beweist allein noch keine Kausalität, kann aber für die technische Bewertung wichtig sein.

Kann festgestellt werden, wohin der Smishing-Link führte?

Unter geeigneten Voraussetzungen können die ursprüngliche Nachricht, Browserdaten oder andere technische Informationen Hinweise auf die aufgerufene URL liefern.

Ob die Webseite später noch erreichbar ist, ist davon unabhängig.

Kann festgestellt werden, wann die Phishing-Webseite besucht wurde?

Browser- und Systeminformationen können je nach Gerät und Datenbestand Zeitinformationen enthalten.

Die Genauigkeit hängt vom verwendeten Browser, Betriebssystem und vorhandenen Artefakten ab.

Kann festgestellt werden, welche Daten danach vom Handy übertragen wurden?

Das ist deutlich schwieriger.

Netzwerk- oder App-Artefakte können unter bestimmten Voraussetzungen Hinweise liefern. Eine vollständige historische Aufzeichnung sämtlicher übertragenen Inhalte ist auf einem normalen Smartphone jedoch nicht automatisch vorhanden.

Kann festgestellt werden, ob mein Konto anschließend übernommen wurde?

Kontosicherheitsinformationen können unbekannte Geräte, Sitzungen oder Anmeldeaktivitäten zeigen.

Diese Daten befinden sich häufig beim jeweiligen Online-Dienst und nicht ausschließlich auf dem Smartphone.

Deshalb kann eine vollständige Untersuchung mehrere Datenquellen erfordern.

Wann ist eine Smartphone-Forensik nach Smishing sinnvoll?

Eine Untersuchung kann sinnvoll sein, wenn nach dem Smishing-Vorfall unbekannte Apps installiert wurden, das Smartphone ungewöhnliche technische Veränderungen zeigt oder der Ablauf für ein rechtliches Verfahren nachvollziehbar dokumentiert werden soll.

Auch bei erheblichen finanziellen Schäden oder einem möglichen weiteren Fremdzugriff kann eine technische Sicherung relevant sein.

Wann ist keine vollständige Smartphone-Forensik erforderlich?

Wenn lediglich eine Nachricht eingegangen ist, keine Interaktion stattgefunden hat und keine weiteren Auffälligkeiten bestehen, ist eine umfassende Geräteuntersuchung nicht automatisch erforderlich.

Die angemessene Reaktion sollte sich nach dem tatsächlichen Risiko richten.

Warum ist diese Abgrenzung wichtig?

Eine professionelle IT-Forensik sollte weder Sicherheitsvorfälle verharmlosen noch aus jedem verdächtigen Link eine vollständige Gerätekompromittierung ableiten.

Die Untersuchung muss sich an den tatsächlich erfolgten Handlungen und vorhandenen technischen Spuren orientieren.

Praxisbeispiel: Paket-SMS mit Link

Eine Person erhält eine SMS mit dem Hinweis, dass ein Paket wegen einer fehlenden Gebühr nicht zugestellt werden könne.

Die Nachricht enthält einen Link zu einer Webseite, auf der Kreditkartendaten eingegeben werden sollen.

Wenn die Person lediglich die SMS erhält, liegt ein anderer technischer Sachverhalt vor als nach der Eingabe der Kartendaten.

Für die weitere Bewertung muss deshalb genau dokumentiert werden, welche Schritte tatsächlich durchgeführt wurden.

Praxisbeispiel: Angebliche Bank-SMS

Eine SMS warnt vor einer angeblich ungewöhnlichen Kontoaktivität und fordert zum sofortigen Log-in auf.

Nach Eingabe der Banking-Zugangsdaten wird zusätzlich eine Sicherheitsbestätigung verlangt.

In diesem Fall muss unmittelbar die Bank kontaktiert und das betroffene Konto abgesichert werden. Zusätzlich können SMS, URL, Browserdaten und weitere digitale Spuren für die Rekonstruktion relevant sein.

Praxisbeispiel: Smishing mit App-Installation

Ein Nutzer wird über eine SMS aufgefordert, eine angebliche Sicherheits-App zu installieren.

Nach der Installation erhält die Anwendung weitreichende Berechtigungen.

Hier beschränkt sich die Untersuchung nicht mehr auf die Smishing-Nachricht. Die installierte Anwendung, ihre Berechtigungen, App-Daten und weitere Systemartefakte werden ebenfalls relevant.

Praxisbeispiel: Geld wurde nach Smishing abgebucht

Nach dem Öffnen einer SMS und der Eingabe von Bankinformationen werden unbekannte Transaktionen festgestellt.

Die erste Maßnahme ist die unmittelbare Kontaktaufnahme mit der Bank beziehungsweise dem Zahlungsdienstleister.

Die forensische Untersuchung kann anschließend helfen, die digitale Ereigniskette zu dokumentieren. Sie ersetzt jedoch nicht die finanzielle Schadensbegrenzung.

FAQ: Was ist Smishing?

Was ist Smishing einfach erklärt?

Smishing ist Phishing über SMS oder vergleichbare mobile Nachrichten. Täter versuchen dabei, Zugangsdaten, Zahlungsinformationen oder andere sensible Daten zu erlangen.

Was bedeutet Smishing?

Der Begriff setzt sich aus SMS und Phishing zusammen.

Ist Smishing ein Hackerangriff?

Smishing ist zunächst eine Social-Engineering-Methode. Daraus kann ein technischer Angriff entstehen, muss aber nicht.

Ist mein Handy gehackt, wenn ich eine Smishing-SMS bekomme?

Nein. Der reine Empfang einer betrügerischen SMS bedeutet nicht, dass das Smartphone kompromittiert wurde.

Ist mein Handy gehackt, wenn ich die SMS geöffnet habe?

Nicht automatisch. Entscheidend ist, welche weiteren Aktionen erfolgt sind.

Ist mein Handy gehackt, wenn ich auf den Link geklickt habe?

Ein Klick allein beweist keine erfolgreiche Kompromittierung. Relevant sind insbesondere Dateneingaben, Downloads, App-Installationen oder erteilte Berechtigungen.

Was tun, wenn ich auf einen Smishing-Link geklickt habe?

Prüfen Sie, welche weiteren Handlungen stattgefunden haben, dokumentieren Sie die Nachricht und sichern Sie betroffene Konten, wenn Zugangsdaten eingegeben wurden.

Was tun, wenn ich mein Passwort eingegeben habe?

Ändern Sie das Passwort über den offiziellen Dienst und möglichst von einem anderen vertrauenswürdigen Gerät. Prüfen Sie außerdem aktive Sitzungen und verbundene Geräte.

Was tun, wenn ich Bankdaten eingegeben habe?

Kontaktieren Sie unverzüglich Ihre Bank über einen offiziellen Kommunikationsweg.

Was tun, wenn Geld abgebucht wurde?

Kontaktieren Sie sofort Bank oder Zahlungsdienstleister und dokumentieren Sie die Transaktion sowie die zugehörige Smishing-Nachricht.

Kann Smishing Schadsoftware installieren?

Smishing kann dazu verwendet werden, Benutzer zur Installation einer schädlichen Anwendung zu bewegen.

Kann eine SMS allein Schadsoftware installieren?

Der bloße Erhalt einer normalen SMS bedeutet nicht automatisch, dass Schadsoftware installiert wurde.

Kann Smishing ein iPhone betreffen?

Ja. Smishing ist unabhängig vom verwendeten Smartphone-System möglich, weil die Täuschung den Benutzer zur Handlung bewegen soll.

Kann Smishing Android betreffen?

Ja. Auch Android-Nutzer können Ziel von Smishing sein.

Kann Smishing WhatsApp betreffen?

Der Begriff Smishing bezieht sich klassisch auf SMS. Ähnliche Phishing-Methoden können jedoch auch über Messenger-Nachrichten eingesetzt werden.

Wie erkenne ich eine Smishing-SMS?

Typische Merkmale sind unerwartete Dringlichkeit, Aufforderungen zur Dateneingabe, ungewöhnliche Links und Nachrichten zu angeblichen Konto-, Paket- oder Zahlungsproblemen.

Kann eine Smishing-SMS perfekt geschrieben sein?

Ja. Rechtschreib- oder Grammatikfehler sind kein notwendiges Merkmal moderner Phishing-Nachrichten.

Ist HTTPS bei einer verlinkten Webseite sicher?

HTTPS schützt die Verbindung, bestätigt aber nicht die Identität oder Vertrauenswürdigkeit des Webseitenbetreibers.

Soll ich die Smishing-SMS löschen?

Bei einem möglichen Beweisinteresse sollte die Nachricht zunächst erhalten und dokumentiert werden.

Soll ich den Link nochmals öffnen?

Nein. Ein verdächtiger Link sollte nicht allein zur Kontrolle erneut geöffnet werden.

Soll ich mein Smartphone zurücksetzen?

Nicht vor einer geplanten forensischen Untersuchung, da dadurch relevante Spuren verloren gehen können.

Soll ich eine verdächtige App löschen?

Bei einem möglichen späteren Beweisinteresse sollte vor der Deinstallation geprüft werden, ob eine technische Sicherung erforderlich ist.

Kann IT-Forensik einen Smishing-Vorfall untersuchen?

Ja. Je nach Fall können SMS, Browserdaten, Apps, Downloads, Benutzerkonten und weitere technische Spuren untersucht werden.

Kann IT-Forensik feststellen, wer die SMS geschickt hat?

Nicht automatisch. Absendernummern und technische Infrastruktur identifizieren nicht zwangsläufig die natürliche Person hinter dem Angriff.

Kann IT-Forensik feststellen, ob ich den Link geöffnet habe?

Unter geeigneten Voraussetzungen können Browser- und Systemartefakte Hinweise auf den Aufruf einer Webseite liefern.

Kann festgestellt werden, welche Daten gestohlen wurden?

Das ist nicht in jedem Fall möglich. Die vorhandenen Geräte-, Account- und Netzwerkdaten bestimmen, welche Aussagen technisch getroffen werden können.

Wann sollte ein Smishing-Vorfall professionell untersucht werden?

Bei finanziellen Schäden, kompromittierten Konten, installierter Software, wiederkehrenden Fremdzugriffen oder einem späteren Beweisinteresse kann eine forensische Untersuchung sinnvoll sein.

Smishing ist eine Täuschungsmethode – nicht automatisch ein Smartphone-Hack

Die wichtigste technische Unterscheidung bei Smishing liegt zwischen der betrügerischen Nachricht und ihren möglichen Folgen.

Der Empfang einer SMS bedeutet noch keine Kompromittierung. Auch das Lesen der Nachricht oder selbst das Öffnen eines Links beweist nicht automatisch einen erfolgreichen Angriff auf das Smartphone.

Entscheidend ist, was danach passiert ist: Wurden Zugangsdaten eingegeben? Eine Zahlung bestätigt? Eine App installiert? Berechtigungen erteilt? Sind anschließend fremde Sitzungen oder Transaktionen aufgetreten?

Eine forensische Untersuchung sollte genau diese Ereigniskette nachvollziehen und zwischen nachgewiesenen Handlungen, technisch möglichen Folgen und bloßen Vermutungen unterscheiden.

Gerade bei Smishing ist diese Trennung wichtig, weil viele erfolgreiche Angriffe gar keine komplizierte Schadsoftware benötigen. Häufig reicht es den Tätern, den Benutzer dazu zu bringen, Zugangsdaten oder Zahlungsinformationen selbst preiszugeben.

Zurück zur Wissensübersicht